หากมีการบันทึกรหัสผ่านใน Microsoft Edge จะมีความเสี่ยงด้านความปลอดภัยที่ควรทราบ จากการเปิดเผยข้อมูลใหม่ระบุว่า เมื่อใดก็ตามที่เปิดใช้งาน Edge เบราว์เซอร์จะโหลด รหัสผ่าน ทั้งหมดที่บันทึกไว้เข้าสู่หน่วยความจำในรูปแบบที่สามารถอ่านได้ทันที ไม่ใช่แค่รหัสผ่านสำหรับเว็บไซต์ที่กำลังเข้าสู่ระบบเท่านั้น ซึ่งหมายความว่าข้อมูลยืนยันตัวตนสำหรับทุกบัญชีที่บันทึกไว้ใน Edge อาจถูกเปิดเผยได้หากมัลแวร์ บัญชีผู้ดูแลระบบที่ถูกโจมตี หรือผู้โจมตีรายอื่นสามารถเข้าถึงอุปกรณ์หรือเซสชันของผู้ใช้ได้

การค้นพบนี้ได้รับการเปิดเผยโดยนักวิจัยด้านความปลอดภัย Tom Jøran Sønstebyseter Rønning(หน้าต่างใหม่) ซึ่งกล่าวว่าการตอบสนองของ Microsoft คือลักษณะการทำงานดังกล่าวเป็น “ไปตามการออกแบบ”

เอกสารข้อมูลของ Microsoft ระบุว่า Edge เข้ารหัสรหัสผ่านที่บันทึกไว้ในดิสก์โดยใช้ AES (Advanced Encryption Standard) และยอมรับว่ารหัสผ่านอาจถูกเปิดเผยได้หากเซสชันของผู้ใช้หรืออุปกรณ์ถูกโจมตี แต่การเปิดเผยข้อมูลใหม่ไม่ได้โต้แย้งในจุดนั้น ทว่าชี้ให้เห็นถึงความกังวลในอีกประเด็นหนึ่ง นั่นคือ Edge จะโหลดรหัสผ่านที่บันทึกไว้ทั้งหมด เข้าสู่หน่วยความจำที่สามารถอ่านได้ทันทีที่เบราว์เซอร์เริ่มทำงาน ซึ่งจะทำให้การดึงข้อมูลจากหน่วยความจำมีมูลค่าสูงขึ้นมากหากผู้โจมตีสามารถเข้าถึงได้อย่างเพียงพอ

สิ่งนี้เกิดขึ้นหนึ่งปีหลังจากที่ Microsoft จำกัดการจัดการรหัสผ่านให้อยู่เฉพาะใน Edge โดยการยกเลิกพื้นที่จัดเก็บรหัสผ่านและการป้อนอัตโนมัติใน Microsoft Authenticator ซึ่งเป็นการผลักดันให้ผู้ใช้ที่ต้องการใช้งานคุณสมบัติรหัสผ่านของ Microsoft ต่อไปหันมาใช้เบราว์เซอร์ของตนเองแทน

วิธีที่ Microsoft Edge จัดการรหัสผ่านที่บันทึกไว้

รหัสผ่านควรได้รับการปกป้องด้วยการเข้ารหัสลับเมื่อจัดเก็บ โดยการเข้ารหัสลับจะเปลี่ยนรหัสผ่านที่อ่านได้ (ข้อความธรรมดา) ให้กลายเป็นข้อมูลที่อ่านไม่ได้ (ciphertext) และเพื่อที่จะใช้รหัสผ่านนั้นในการป้อนอัตโนมัติ ท้ายที่สุดเบราว์เซอร์จะต้องถอดรหัสกลับไปเป็นรูปแบบที่อ่านได้ คำถามสำคัญคือ: ข้อมูลรหัสผ่านจำนวนเท่าใดที่จะกลายเป็นรูปแบบที่อ่านได้ในคราวเดียว?

นักวิจัยด้านความปลอดภัย Tom Jøran Sønstebyseter Rønning กล่าวว่า Microsoft Edge จะโหลดรหัสผ่านทั้งหมดที่บันทึกไว้ลงในหน่วยความจำของเบราว์เซอร์ในรูปแบบข้อความธรรมดาทันทีที่เริ่มต้นทำงาน แทนที่จะถอดรหัสเฉพาะรหัสผ่านที่จำเป็นต้องใช้งานเท่านั้น ซึ่งรวมถึงรหัสผ่านทั้งหมดที่บันทึกไว้ในโปรแกรมจัดการรหัสผ่านของ Edge แม้กระทั่งรหัสผ่านสำหรับเว็บไซต์ที่ไม่ได้เข้าชมหรือไม่ได้ป้อนอัตโนมัติในระหว่างเซสชันการท่องเว็บในปัจจุบัน

A terminal showing how Microsoft Edge keeps saved passwords exposed in plaintext
Source: @L1v1ng0ffTh3L4N on X

สิ่งนั้นทำให้คำขอร้องการยืนยันตัวตนซ้ำของ Edge ดูน่าแปลกใจและชวนสับสน เนื่องจากอินเตอร์เฟสจะขอให้พิสูจน์ข้อมูลระบุตัวตนก่อนที่จะเปิดเผยรหัสผ่าน ทั้งที่กระบวนการทำงานของเบราว์เซอร์มีรหัสผ่านทุกตัวที่บันทึกไว้พร้อมใช้งานในรูปแบบที่อ่านได้อยู่แล้ว

นักวิจัยได้ทดสอบลักษณะการทำงานนี้กับเบราว์เซอร์ต่างๆ ที่ใช้พื้นฐาน Chromium รวมถึง Google Chrome, Brave, Vivaldi, Opera และ Microsoft Edge และพบว่ามีเพียง Edge เท่านั้นที่แสดงพฤติกรรมนี้

เพียงแค่เปิด Microsoft Edge ทิ้งไว้ก็เพียงพอแล้ว

นักวิจัยด้านความปลอดภัย Rob VandenBrink ซึ่งเขียนบทความให้กับ SANS Internet Storm Center(หน้าต่างใหม่) สามารถทำซ้ำเพื่อจำลองปัญหาดังกล่าวได้โดยการเปิด Microsoft Edge ทิ้งไว้และวิเคราะห์ไฟล์ดัมป์หน่วยความจำของเซสชันเบราว์เซอร์ที่กำลังทำงานอยู่ เขาได้สาธิตว่าผู้ใช้ Windows ที่เข้าสู่ระบบอยู่สามารถดัมป์ข้อมูลยืนยันตัวตนของ Edge ที่จัดเก็บไว้ได้โดยไม่ต้องมีสิทธิ์เพิ่มเติม ซึ่งหมายความว่ามัลแวร์ที่ทำงานภายใต้สิทธิ์ของผู้ใช้รายนั้นก็สามารถเข้าถึงข้อมูลยืนยันตัวตนดังกล่าวได้เช่นกัน

Two side-by-side panels showing how to easily create a memory dump file for Microsoft Edge using the Windows Task Manager and how to easily view all saved passwords in the captured DMP file
Source: Rob VandenBrink on SANS Internet Storm Center

เซสชันที่ถูกโจมตีเพียงเซสชันเดียวอาจทำให้รหัสผ่านทั้งหมดถูกเปิดเผยได้

หากผู้โจมตีเข้าถึงอุปกรณ์หรือเซสชันของผู้ใช้ได้อย่างเพียงพอ อาจสามารถตรวจสอบหน่วยความจำของเบราว์เซอร์ได้ หากถอดรหัสเฉพาะรหัสผ่านเดียวเมื่อจำเป็นต้องใช้ ผู้โจมตีก็จะมีโอกาสและข้อมูลให้ดึงไปได้น้อยลง แต่หากรหัสผ่านทั้งหมดที่บันทึกไว้อยู่ในหน่วยความจำโดยไม่ได้รับการคุ้มครองจากการเข้ารหัสลับ การดึงข้อมูลจากหน่วยความจำก็จะยิ่งมีมูลค่าสูงขึ้นมาก

ความเสี่ยงนี้ร้ายแรงเป็นพิเศษในสภาพแวดล้อมที่มีการแชร์ร่วมกัน เช่น เทอร์มินัลเซิร์ฟเวอร์, เดสก์ท็อประยะไกล, โครงสร้างพื้นฐานเดสก์ท็อปเสมือน หรือระบบที่มีผู้ใช้หลายคนเข้าสู่ระบบพร้อมกัน บัญชีผู้ดูแลระบบที่ถูกโจมตีจะสามารถดึงข้อมูลยืนยันตัวตนที่บันทึกไว้จากผู้ใช้อื่นๆ ที่เข้าสู่ระบบอยู่ได้ รวมถึงเซสชันที่ตัดการเชื่อมต่อแต่ Edge ยังคงทำงานอยู่

สิ่งที่ควรทำหากมีการบันทึกรหัสผ่านไว้ใน Microsoft Edge

สิ่งนี้ไม่ได้หมายความว่าผู้ใช้ Microsoft Edge ทุกคนจะถูกแฮก แต่บุคคลและองค์กรต่างๆ ควรพิจารณาใหม่ว่า Edge เป็นสถานที่ที่เหมาะสมในการจัดเก็บข้อมูลยืนยันตัวตนหรือไม่ และนี่คือสิ่งที่สามารถทำได้เพื่อความปลอดภัย:

  • หยุดบันทึกรหัสผ่านใหม่ในเบราว์เซอร์ของ Microsoft และปิดใช้งาน Edge โปรแกรมจัดการรหัสผ่าน
  • ย้ายข้อมูลยืนยันตัวตนที่บันทึกไว้ไปยังโปรแกรมจัดการรหัสผ่านที่ปลอดภัย โดยสามารถนำเข้ารหัสผ่านของ Edge ไปยัง Proton Pass ได้อย่างง่ายดาย
  • ลบรหัสผ่านที่บันทึกไว้ใน Edge หลังจากย้ายข้อมูลเรียบร้อยแล้ว
  • เปลี่ยนรหัสผ่านที่มีความเสี่ยงสูงและตั้งค่าไม่ให้ซ้ำกัน โดยเริ่มจากอีเมล บัญชีทางการเงิน เครื่องมือผู้ดูแลระบบ กล่องขาเข้ารีเซ็ตรหัสผ่าน และบัญชีงาน โดยโปรแกรมจัดการรหัสผ่านมีเครื่องมือในตัวเพื่อวัตถุประสงค์นี้ หรือสามารถใช้โปรแกรมสร้างรหัสผ่านได้เช่นกัน
  • เปิดใช้งานการยืนยันตัวตนผ่านสองขั้นตอน (2FA) หรือพาสคีย์ในทุกที่ที่ทำได้ ซึ่งจะช่วยลดความเสียหายหากรหัสผ่านถูกเปิดเผย Proton Pass รองรับพาสคีย์และ2FA สำหรับทุกบัญชีที่บันทึกไว้ และยังสามารถใช้แอปยืนยันตัวตนเพื่อจัดการการเข้าถึงบัญชี Proton ได้อย่างปลอดภัยอีกด้วย
  • สำหรับทีมไอที: ตรวจสอบนโยบายรหัสผ่านของ Edge และปิดใช้งานพื้นที่จัดเก็บรหัสผ่านของเบราว์เซอร์เพื่อลดความเสี่ยงขององค์กร การใช้โปรแกรมจัดการรหัสผ่านสำหรับธุรกิจที่ควบคุมจากส่วนกลางนั้นมีประสิทธิภาพดีกว่าการที่พนักงานบันทึกรหัสผ่านไว้ในเบราว์เซอร์ส่วนตัว

รหัสผ่านควรได้รับการปกป้องที่ดีกว่า Microsoft Edge

การเปิดเผยข้อมูลเกี่ยวกับ Microsoft Edge เป็นเครื่องเตือนใจว่าข้อมูลยืนยันตัวตนที่ละเอียดอ่อนที่สุดไม่ควรถูกจัดเก็บไว้ในโปรแกรมจัดการรหัสผ่านของบริษัทที่มองว่าการเปิดเผยข้อมูลประเภทนี้เป็นพฤติกรรมปกติที่คาดหมายไว้ แม้ว่าจะก่อให้เกิดความกังวลด้านความปลอดภัยอย่างชัดเจนต่อทั้งบุคคลและองค์กรก็ตาม

ด้วย Proton Pass รหัสผ่าน นามแฝง พาสคีย์ และรหัส 2FA จะได้รับการปกป้องด้วยการเข้ารหัสลับจากต้นทางถึงปลายทาง และยังสามารถควบคุมสถานที่และวิธีใช้งานได้อย่างเต็มที่

สร้างบัญชี Proton Pass ฟรี